Schutzbedarfs-Wizard

Der Wizard bildet die Methodik des BSI-Standards 200-2 zur Schutzbedarfsfeststellung ab. Für jedes der drei Schutzziele werden die sechs Schadensszenarien bewertet:

1. Verstöße gegen Gesetze, Vorschriften oder Verträge
2. Beeinträchtigungen des Rechts auf informationelle Selbstbestimmung
3. Beeinträchtigungen der persönlichen Unversehrtheit
4. Beeinträchtigungen der Aufgabenerfüllung
5. Negative Innen- oder Außenwirkung
6. Finanzielle Auswirkungen

Pro Schadensszenario wird die Schadensauswirkung in den praxisüblichen, insbesondere im Standard-Datenschutzmodell (SDM) verwendeten Stufen „gering", „merklich" und „existenzbedrohend" eingeschätzt. Der BSI-Standard 200-2 grenzt die zugehörigen Schutzbedarfskategorien (normal, hoch, sehr hoch) durch institutionsspezifische Festlegungen ab (Kapitel 8.2.1). Aus diesen Einschätzungen ermittelt der Wizard die Schutzbedarfsstufe je Schutzziel. Das Maximumprinzip stellt sicher, dass der höchste Schaden den Gesamtschutzbedarf bestimmt; der Kumulationseffekt erhöht den Bedarf, wenn viele gleichartige Verarbeitungen zusammenkommen; der Verteilungseffekt kann ihn absenken, wenn die Verarbeitung auf voneinander unabhängige Teilbereiche verteilt ist. Das Ergebnis ist als V/I/V-Profil der quantitative Anker für die Auswahl der TOMs nach Art. 32 DSGVO.

1. Verfahren benennen: Tragen Sie eine eindeutige Bezeichnung der Verarbeitung oder des Informationsverbundes ein.
2. Schadensszenarien einstufen: Bewerten Sie für jedes der drei Schutzziele die sechs Schadensszenarien mit „gering", „merklich" oder „existenzbedrohend".
3. Effekte prüfen: Der Wizard wendet automatisch das Maximumprinzip an und kennzeichnet, wo Kumulations- oder Verteilungseffekte zu prüfen sind.
4. Ergebnis prüfen: Lesen Sie das V/I/V-Profil und justieren Sie einzelne Bewertungen bei abweichender Begründungslage nach.
5. Workpaper drucken: Klick auf „Druckansicht" erzeugt ein Workpaper für das IT-Sicherheits- oder Datenschutzkonzept mit Eingaben, Begründungen und Schutzbedarfsstufen.

Datenverarbeitung: Sämtliche Eingaben werden ausschließlich lokal im Browser verarbeitet (localStorage für Wiederaufnahme, kein Server-Roundtrip). Es findet keine Übermittlung an Anbieter, Tracker oder Analyse-Dienste statt.

• BSI-Standard 200-2 „IT-Grundschutz-Methodik"
• Art. 32 DSGVO (Verordnung (EU) 2016/679)
• Standard-Datenschutzmodell (SDM) v3.1a der Datenschutzkonferenz, Mai 2024
• Vertiefende Themenseite: Technisch-organisatorische Maßnahmen